セキュリティポリシーを通じて許可される TCP 3 方向ハンドシェイクは、キャプティブポータルを使用するときにトラフィックを拒否します

診断

これは、トラフィックが構成済みのキャプティブポータルポリシーと一致する場合に発生します。

例:

ユーザー @ ホスト > 実行中のキャプティブポータル-ポリシーの表示

テスト {
l3 からの信頼;
ソース any;
l3-Untrust;
宛先 any;
カテゴリ any;
サービス [tcp/any/80 tcp/任意/8080];
アクション web フォーム;
ターミナルはい;
}

フロー基本セットを使用してパケット diag を実行すると、トラフィックがキャプティブポータルポリシーと一致することに注意することができます。

例:

= = 2016-10-27 19:52: 53.510-0700 = =
パケット slowpath 段階で受信パケット
情報: レン62ポート19インターフェイス 19 vsys 1
wqe インデックス229362パケット 0x0x8000000037b900e6
パケットデコードダンプ:
L2: 00:50:56:93:51:10-> 58:49: 3b: 9d: a6:13、タイプ0x0800
IP アドレス: 192.168.15.41-> 104.244.14.253、プロトコル 6
バージョン4、ihl 5、tos 0x00、len 48、
id 991、frag_off 0x4000、ttl 128、チェックサム 44838
TCP: スポーツ49460、dport 80、seq 1732543400、ack 0、
予約0、オフセット7、ウィンドウ8192、チェックサム28395,
フラグ 0x0002 (SYN), 緊急データ 0
TCP オプション:
00000000:02 04 05 b4 01 01 04 02 ...
セッション設定: vsys 1
PBF ルックアップ (vsys 1) アプリケーションの web ブラウジング
セッションのセットアップ: 進入インタフェース ethernet1/4 出力インタフェース ethernet1/3 (ゾーン 8)
NAT ポリシールックアップ、一致したルールインデックス 0
2016-10-27 19:52: 53.510-0700 デバッグ: __pan_cfg_cp_policy_lookup (pan_cfg_cp_policy c:154): 返されたルールインデックスは 0Pa
cket 一致したキャプティブポータルルール < matching="" captive="" portal=""></> 、アクション 1

次に、キャプティブポータルセッショントラフィックの内部セキュリティポリシーを通じてトラフィックが許可されていることを確認します。

ポリシールックアップ、一致したルールインデックス0は、特別 < hitting="" a="" special="" rule="">に
割り当てられた新しいセッション10622です。

ポート80または 8080 (復号化が有効になっている場合は 443) へのトラフィックがある場合、キャプティブポータルポリシーと一致し、構成済みのセキュリティポリシールックアップをバイパスし、3方向ハンドシェイクを許可します。 

この振る舞いは、キャプティブポータルの場合には、パロアルトネットワークのファイアウォールは、"リダイレクト" または "web フォーム"、進行中の "http" セッションをハイジャックすることによって提示するという事実によるものです。3ウェイハンドシェイクが許可され、パロアルトネットワークファイアウォールは、"http-get" 要求を傍受し、リダイレクトを送信します。